南京是中国软件产业重镇，中国（南京）软件谷集聚了超过3000家软件企业，软件从业人员超过30万人，涵盖通信软件、服务外包、集成电路设计、人工智能、工业软件等多个领域。对于软件企业而言，源代码是最核心的资产，但与传统制造业的技术图纸不同，源代码是纯数字资产，复制零成本、传播无痕迹，保护难度更大。员工离职拷贝、外包代码泄露、开源协议违规、代码仓库权限管理混乱等问题，是南京软件企业最常面临的风险。

一、软件企业源代码泄露的主要途径

1. 离职员工拷贝

这是最常见的泄露方式。研发人员在离职前通过Git克隆、U盘拷贝、个人邮箱外发、云盘同步等方式将代码带走，入职竞品或自主创业。软件行业人员流动性大，南京软件谷企业之间跳槽频繁，代码随人员流动扩散的问题十分普遍。部分员工甚至在在职期间就将代码托管到个人GitHub仓库。

2. 外包项目泄露

软件外包是南京的重要产业，发包方将项目外包给开发团队，外包人员可以接触核心代码。部分外包公司同时为竞品服务，保密意识薄弱，将发包方代码复用于其他项目；或者外包项目结束后不归还和销毁代码，留作“技术积累”。

3. 代码仓库管理不当

Git/SVN仓库权限设置过宽，非项目人员可以访问核心代码；离职员工账号未及时禁用；仓库被设置为公开或被外部IP访问。部分小型软件企业甚至没有代码仓库，代码散落在各员工电脑上，管理完全失控。

4. 开源协议违规

开发者在项目中使用了GPL等传染性开源协议的代码，导致整个产品被要求开源；或者使用了未授权的商业代码、第三方组件，引发知识产权侵权。开源合规问题在融资、并购和上市审核中会被重点关注。

二、源代码泄露调查方法

1. 代码仓库日志分析

Git等版本控制系统记录了完整的操作历史。通过分析日志可以发现：谁在什么时间克隆、拉取、推送了代码；是否有异常的大量下载；是否有非工作时间的访问；离职员工是否在离职前集中拉取了多个仓库。

2. 终端电子取证

对离职员工工作电脑进行镜像取证，恢复删除的文件和Git操作记录，检查USB设备使用痕迹、个人邮箱和云盘的外发记录、浏览器访问代码托管平台的记录。对于已经离开的员工，如果公司配发了电脑且未归还，可以通过法律途径要求返还并检查。

3. 代码相似性比对

获取竞品软件进行反编译或代码比对，从代码结构、变量命名、注释、特有bug等维度判断是否存在抄袭。代码比对可以委托专业的知识产权司法鉴定机构。

4. 公开代码监控

定期在GitHub、Gitee等平台搜索企业核心代码片段、特有类名和函数名，监控是否有员工将内部代码上传到公开仓库。

我们曾为南京软件谷某工业软件企业调查一起代码泄露案。该企业发现竞品推出了功能高度相似的产品，调查发现离职的核心开发在离职前2天克隆了全部8个代码仓库。电子取证在其电脑中恢复了已删除的外发邮件，竞品代码比对发现了相同的注释和调试代码。案件最终以该员工赔偿并停止使用侵权代码和解。

三、软件企业代码保护建议

• 仓库权限管理：按项目设置仓库权限，最小必要原则，定期审计权限，离职立即禁用账号；
• 代码防泄漏：部署DLP系统，禁用USB存储，限制个人云盘和邮箱外发，核心代码加水印；
• 协议约束：与员工和外包方签订保密协议、知识产权归属协议和竞业限制协议；
• 开源合规：建立开源组件使用审查制度，使用SCA工具扫描开源协议风险，维护SBOM清单；
• 离职检查：核心研发离职时进行电子取证检查，收回设备和权限，书面重申保密义务；
• 代码归档：定期备份核心代码，保留研发过程记录，便于主张权利和追溯。

源代码保护是软件企业的生命线，一旦泄露往往不可逆。衡正南京团队具备电子取证和代码比对能力，熟悉软件行业的技术和法律环境，可为南京软件企业提供代码泄露调查、电子证据固定、开源合规审查和维权支持服务。